カリフォルニア州CCPA、自動意思決定技術（ADMT）規制が2026年実施フェーズへ

概要

カリフォルニア州プライバシー保護庁（CPPA）がCCPA（カリフォルニア州消費者プライバシー法）に関するAI・自動意思決定技術（ADMT）に関する規則を最終確定させた。AIや機械学習によって消費者に関する重要な決定（採用・融資・医療・保険など）を自動で行う事業者に対し、リスクアセスメントの実施・監査・消費者のオプトアウト権の保障を義務付けるもので、2026年中に段階的に施行される。

事実のポイント

• CCPA ADMT規則が最終化。「自動意思決定技術」の定義が明確化された
• 採用・融資・医療・保険・住宅など「重大な意思決定」領域でAI・MLを使う企業が主な対象
• 年次リスクアセスメントの実施と当局への提出が義務付けられる
• 消費者は「自動意思決定の利用に同意しない（オプトアウト）」権利を付与される
• 未成年者に関するデータ利用規制もより厳格化された
• 規則の施行は段階的に行われ、一部要件は2026年中に発効する

用語・背景の補足

ADMT（Automated Decision-Making Technology）: AIや機械学習など、人間の直接的な判断を介さずに消費者に影響を与える決定を行う技術の総称。CCPAでは採用・融資・医療・保険などの文脈でのAI使用が特に問題視されている。

CCPA（California Consumer Privacy Act）: 2018年成立のカリフォルニア州プライバシー法。GDPRに匹敵する規制強度で、消費者のデータに関する権利（アクセス・削除・販売拒否等）を保護する。その後CPRA（California Privacy Rights Act）により大幅強化された。

リスクアセスメント義務: ADMTを使う事業者が、そのシステムが消費者に与えるリスク（差別・バイアス・プライバシー侵害等）を評価し、文書化・提出する義務。GDPR第35条の影響評価（DPIA）に相当する概念。

注意点

• カリフォルニア州で消費者向けサービス・採用活動を行う企業は国籍を問わず対象となりうる
• 「重大な意思決定」の定義範囲の解釈が今後の執行事例・ガイダンスで明確化される見込み
• 日本の企業でも米国向けサービスやカリフォルニア在住ユーザーが存在する場合は影響を受ける可能性があり、法務・コンプライアンス部門での対応計画が求められる

編集部見解

（追記予定）